يسعى المدراء الماليون ومسؤولو أمن المعلومات ومدراء المخاطر في المؤسسات السعودية المنظمة إلى تخفيض قسط التأمين السيبراني ISO 27001 من خلال تطبيق ضوابط الأمن السيبراني، لكن ليست جميع الضوابط متساوية في نظر مكتتبي التأمين. فالنماذج الاكتوارية التي تستخدمها شركات التأمين تربط ضوابط معينة من الملحق أ ISO 27001:2022 بانخفاض قابل للقياس في تكرار المطالبات وحجمها، وبالتالي تمنحها وزنًا أعلى عند تسعير الوثيقة وتحديد الحدود الفرعية والاستثناءات.
لا يكفي أن تكون الضوابط موجودة على الورق؛ بل يجب أن تكون الأدلة المقدمة لشركة التأمين بالصيغة التي تقبلها عمليات الاكتتاب. فاستمارات الاكتتاب تطلب أدلة محددة — سجلات اختبار، وتقارير مراقبة، واتفاقيات موقعة، ونتائج تمارين — وليس مجرد إجابات بنعم أو لا.
يحدد هذا المقال ثمانية ضوابط من الملحق أ 2022 يمنحها مكتتبو التأمين أعلى وزن اكتواري، ويوضح صيغة الأدلة التي يجب تجهيزها قبل التوجه للسوق أو قبل التجديد.
لماذا تختلف أوزان الضوابط في نظر مكتتبي التأمين
تبني شركات التأمين نماذجها الاكتوارية على بيانات المطالبات الفعلية. فالحوادث التي أدت إلى مطالبات كبيرة — برمجيات الفدية، وتعطل الأعمال، وانتهاكات البيانات — تشترك في أنماط معينة: غياب اختبار دوري للنسخ الاحتياطي، أو عدم تسجيل الوصول المميز، أو تأخر التحديثات الأمنية، أو غياب عقود الاستجابة للحوادث.
عندما تحلل شركة التأمين آلاف المطالبات، تظهر ضوابط معينة كعوامل تخفيف قوية. فوجود هذه الضوابط — مع أدلة قابلة للتحقق — يخفض احتمالية المطالبة أو حجمها المتوقع، وبالتالي يخفض القسط.
لكن الأدلة يجب أن تكون محددة. فقول "لدينا نسخ احتياطية" لا يكفي؛ بل يريد المكتتب سجلات اختبار استعادة شهرية، ومدة الاستعادة المقاسة، ونسبة النجاح. هذه التفاصيل هي ما يدخل في النموذج الاكتواري.
الضوابط الثمانية ذات الوزن الاكتواري الأعلى
1. اختبار استعادة النسخ الاحتياطية (A.8.13)
الضابط: اختبار دوري لاستعادة البيانات من النسخ الاحتياطية للتأكد من قابليتها للاستخدام.
لماذا يهم المكتتب: أكثر من نصف مطالبات برمجيات الفدية تفشل فيها الاستعادة من النسخ الاحتياطية — إما لأن النسخ تالفة، أو مشفرة مع الأنظمة الأصلية، أو لم تُختبر قط. فوجود اختبار شهري ناجح يخفض مدة التعطل المتوقعة، وبالتالي حجم المطالبة.
الأدلة المطلوبة:
- سجلات اختبار استعادة شهرية للأنظمة الحرجة
- مدة الاستعادة المقاسة (Recovery Time Objective)
- نسبة نجاح الاختبارات خلال الاثني عشر شهرًا الماضية
- تقرير اختبار واحد على الأقل يوضح الخطوات والنتائج
2. تسجيل ومراقبة الوصول المميز (A.8.12)
الضابط: تسجيل جميع الأنشطة التي تستخدم صلاحيات إدارية أو مميزة، ومراجعتها دوريًا.
لماذا يهم المكتتب: معظم الاختراقات الناجحة تستخدم حسابات مميزة مسروقة أو مساء استخدامها. فوجود سجلات كاملة ومراجعة منتظمة يكشف الحركة الجانبية والتصعيد غير المصرح به قبل أن يصبح اختراقًا كاملًا.
الأدلة المطلوبة:
- سياسة تسجيل الوصول المميز
- عينة من سجلات الوصول المميز لشهر واحد
- تقارير المراجعة الشهرية مع الحالات الشاذة المحددة
- إجراءات التصعيد عند اكتشاف نشاط مشبوه
3. اتفاقيات مستوى الخدمة لتحديثات الأمان (A.8.19)
الضابط: التزامات زمنية محددة لتطبيق التحديثات الأمنية الحرجة على الأنظمة والتطبيقات.
لماذا يهم المكتتب: الثغرات المعروفة غير المُصلحة هي نقطة دخول شائعة. فوجود اتفاقيات مستوى خدمة — وليس مجرد سياسة — يعني التزامًا قابلًا للقياس والمساءلة.
الأدلة المطلوبة:
- اتفاقيات مستوى خدمة موثقة لتحديثات الأمان (مثلًا: الحرجة خلال 72 ساعة، العالية خلال أسبوعين)
- تقارير الامتثال لاتفاقيات مستوى الخدمة للربع الأخير
- عملية التصعيد عند تجاوز المهل
- قائمة الأنظمة المشمولة والمستثناة مع التبرير
4. عقود الاستجابة للحوادث مع جهات خارجية (A.5.24، A.5.28)
الضابط: اتفاقيات موقعة مسبقًا مع شركات الطب الشرعي الرقمي والاستجابة للحوادث، تحدد أوقات الاستجابة والتكاليف.
لماذا يهم المكتتب: التأخير في الاستجابة يزيد حجم الاختراق ومدة التعطل. فوجود عقود مسبقة يعني أن الفريق سيكون في الموقع خلال ساعات وليس أيامًا، مما يخفض التكاليف الإجمالية.
الأدلة المطلوبة:
- عقود موقعة مع جهات استجابة معتمدة
- أوقات الاستجابة المتفق عليها (مثلًا: وصول الفريق خلال 4 ساعات)
- نطاق الخدمات المشمولة
- معلومات الاتصال والتصعيد
5. المصادقة متعددة العوامل على جميع الحسابات الإدارية (A.5.17، A.5.18)
الضابط: مصادقة متعددة العوامل إلزامية على جميع الحسابات ذات الصلاحيات الإدارية، بدون استثناءات.
لماذا يهم المكتتب: سرقة بيانات الاعتماد هي السبب الأول للاختراقات. فالمصادقة متعددة العوامل تمنع استخدام بيانات الاعتماد المسروقة حتى لو تم الحصول عليها.
الأدلة المطلوبة:
- سياسة المصادقة متعددة العوامل
- تقرير من نظام إدارة الهوية يوضح نسبة الحسابات الإدارية المحمية (يجب أن تكون 100%)
- قائمة بأنواع العوامل المستخدمة (تطبيق، رمز مادي، بيومتري)
- إجراءات الطوارئ عند فقدان العامل الثاني
6. التشفير أثناء التخزين للبيانات الحساسة (A.8.24)
الضابط: تشفير قواعد البيانات والملفات التي تحتوي على بيانات شخصية أو مالية أو صحية أثناء التخزين.
لماذا يهم المكتتب: في حالة الاختراق، البيانات المشفرة لا تُعتبر "مخترقة" قانونيًا في كثير من الأنظمة، مما يخفض تكاليف الإشعار والغرامات والدعاوى.
الأدلة المطلوبة:
- قائمة الأنظمة التي تخزن بيانات حساسة
- خوارزميات التشفير المستخدمة (مثلًا: AES-256)
- إجراءات إدارة المفاتيح
- تقرير فحص يؤكد تفعيل التشفير
7. تقييمات أمنية دورية للموردين الحرجين (A.5.19، A.5.20)
الضابط: تقييم أمني سنوي للموردين الذين يصلون إلى أنظمتكم أو يعالجون بياناتكم.
لماذا يهم المكتتب: اختراقات سلسلة التوريد تمثل مخاطر متزايدة. فوجود تقييمات موثقة يوضح أنكم تديرون هذا المخاطر بشكل استباقي.
الأدلة المطلوبة:
- قائمة الموردين الحرجين
- تقارير التقييم الأمني للموردين (آخر 12 شهرًا)
- معايير التقييم المستخدمة
- إجراءات المعالجة عند اكتشاف نقاط ضعف لدى المورد
8. تمارين نظرية لخطة استمرارية الأعمال والاستجابة للحوادث (A.5.29، A.5.30)
الضابط: تمارين نظرية (tabletop exercises) نصف سنوية تحاكي سيناريوهات حوادث سيبرانية، مع مشاركة الإدارة العليا.
لماذا يهم المكتتب: الخطط غير المختبرة تفشل عند الحاجة. فالتمارين النظرية تكشف الفجوات في الأدوار والمسؤوليات والاتصالات قبل الحادث الفعلي.
الأدلة المطلوبة:
- تقارير التمارين النظرية (آخر سنة)
- السيناريوهات المستخدمة
- قائمة المشاركين ومناصبهم
- الدروس المستفادة والإجراءات التصحيحية المتخذة
صيغة الأدلة التي يقبلها مكتتبو التأمين
لا يكفي أن تكون الأدلة موجودة؛ بل يجب أن تكون بالصيغة التي تقبلها عمليات الاكتتاب. فاستمارات الاكتتاب تطلب:
التوثيق الزمني: تواريخ واضحة للسياسات والاختبارات والمراجعات. فالأدلة القديمة (أكثر من سنة) لا تُقبل عادة.
القياسات الكمية: نسب مئوية، ومدد زمنية، وعدد الحوادث. فالأوصاف النوعية ("نحن نختبر بانتظام") لا تدخل في النماذج الاكتوارية.
الاستقلالية: تقارير من جهات مستقلة — مراجعين خارجيين، أو أدوات آلية، أو أطراف ثالثة — تحمل وزنًا أعلى من التقييمات الذاتية.
الشمولية: تغطية جميع الأنظمة الحرجة، وليس عينة فقط. فالفجوات في التغطية تُعتبر نقاط ضعف.
التوقيع والمساءلة: سياسات موقعة من الإدارة العليا، واتفاقيات موقعة مع الموردين، وتقارير موقعة من المسؤولين. فالمستندات غير الموقعة تُعتبر مسودات.
الفرق بين الامتثال والجاهزية للاكتتاب
كثير من المؤسسات السعودية لديها شهادة ISO 27001 أو امتثال لإطار عمل مؤسسة النقد العربي السعودي للأمن السيبراني أو الضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني. لكن الامتثال التنظيمي والجاهزية للاكتتاب ليسا نفس الشيء.
الامتثال التنظيمي يركز على استيفاء الحد الأدنى من المتطلبات التي تفرضها الجهات الرقابية — مؤسسة النقد العربي السعودي، أو الهيئة الوطنية للأمن السيبراني، أو هيئة السوق المالية — لتجنب العقوبات.
الجاهزية للاكتتاب تركز على إثبات فعالية الضوابط بالصيغة التي تقبلها النماذج الاكتوارية لشركات التأمين. فالمكتتب لا يسأل "هل لديكم سياسة؟" بل "هل اختبرتموها؟ وما النتائج؟ وهل تستطيعون إثباتها؟"
فمؤسسة قد تكون ممتثلة تمامًا لكنها تفشل في تقديم الأدلة التي يريدها المكتتب، وبالتالي تحصل على أقساط أعلى أو استثناءات أوسع.
متى تجهزون الأدلة
أفضل وقت لتجهيز الأدلة هو قبل التوجه لسوق التأمين بثلاثة إلى أربعة أشهر — سواء كنتم تتقدمون لأول مرة أو تستعدون للتجديد. هذه المدة تتيح:
- تقييم الضوابط الحالية مقابل توقعات الاكتتاب
- سد الفجوات ذات الأثر الأعلى على القسط
- تجميع الأدلة بالصيغة المطلوبة
- اختبار الضوابط إذا لم تكن قد اختُبرت مؤخرًا
التأخير حتى أسابيع قليلة قبل التجديد يعني أنكم ستتوجهون للسوق بالوضع الحالي، وستدفعون القسط الذي يعكس الفجوات الموجودة.
كيف نساعدكم على الاستعداد
نقدم تقييم الجاهزية للتأمين السيبراني لمساعدة المؤسسات السعودية على التأهل للتأمين بشروط أفضل. نقيّم ضوابطكم كما يقيّمها مكتتبو التأمين، ونسد الفجوات التي ترفع الأقساط وتضيف الاستثناءات، ونجهّز الأدلة قبل التوجه للسوق.
تتضمن العملية أربع مراحل: التعرف على الأعمال والأنظمة والتغطية الحالية أو المخطط لها، ثم التقييم من خلال اختبار ضوابط الاكتتاب لا السؤال عنها فقط، ثم المعالجة بتحديد المكاسب السريعة والإصلاحات حسب الأولوية، وأخيرًا التجهيز بإعداد حزمة الأدلة والإجابات للسوق.
نسلّمكم تقرير الجاهزية والدرجة، وحزمة الأدلة، وخطة معالجة مرتبة حسب أثرها على الاكتتاب. تشمل الخدمة مراجعة الضوابط التي تسأل عنها شركات التأمين، وتحليل الفجوات مقابل توقعات الاكتتاب، وحزمة أدلة لكل ضابط، وإصلاحات مرتبة حسب أثرها على القسط والشروط. تستغرق العملية ثلاثة إلى أربعة أسابيع.
نعمل مع الأطر التنظيمية السعودية — إطار عمل مؤسسة النقد العربي السعودي للأمن السيبراني، والضوابط الأساسية للأمن السيبراني للهيئة الوطنية للأمن السيبراني، وISO 27001 — لضمان أن الضوابط تلبي المتطلبات التنظيمية وتوقعات الاكتتاب في آن واحد.
لسنا شركة تأمين ولا وسيطًا، بل نعمل إلى جانب وسيطكم لتحسين موقفكم. يُفضّل البدء قبل التجديد أو قبل التوجه للسوق أول مرة بثلاثة إلى أربعة أشهر.
